JSON Web Tokens - jwt.io
を Java で利用する。
利用環境、pom.xml Maven
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.11.0</version>
</dependency>
JWTの生成
int minutes = 3;
String secret = "123abc";
LocalDateTime nowtime = LocalDateTime.now();
long nowmilisec = nowtime.atZone(ZoneId.systemDefault()).toInstant().toEpochMilli();
java.util.Date before = Date.from(ZonedDateTime.of(nowtime, ZoneId.systemDefault()).toInstant());
java.util.Date expiretime = new Date(nowmilisec + (60 * minutes * 1000));
Map<String, Object> headerClaims = new HashMap<>();
headerClaims.put("ha", "HA");
headerClaims.put("point", 12);
Algorithm algorithm = Algorithm.HMAC256(secret);
String token = JWT.create()
.withJWTId("222")
.withKeyId("aaaa")
.withAudience("A", "B", "C")
.withIssuer("issuer")
.withSubject("subjects")
.withIssuedAt(Date.from(ZonedDateTime.of(nowtime, ZoneId.systemDefault()).toInstant()))
.withNotBefore(before)
.withExpiresAt(expiretime)
.withClaim("X-EMAIL", "yip@xxx.xxx.com")
.withClaim("X-SIZE", 1024)
.withHeader(headerClaims)
.sign(algorithm);
ヘッダのJSONが、以下のとおりにできて、
{"kid":"aaaa","ha":"HA","typ":"JWT","alg":"HS256","point":12}
ペイロードのJSON が、以下のとおりにできて、
{"aud":["A","B","C"],"sub":"subjects","nbf":1602924613,"iss":"issuer","X-EMAIL":"yip@xxx.xxx.com","exp":1602924793,"iat":1602924613,"X-SIZE":1024,"jti":"222"}
署名が作られて、Base64 エンコードした文字列、String token が作成できます。
これは、それぞれ
String headerDecoded = new String(Base64.getUrlDecoder().decode(JWT.decode(token).getHeader().getBytes()), StandardCharsets.UTF_8);
String payloadDecoded = new String(Base64.getUrlDecoder().decode(JWT.decode(token).getPayload().getBytes()), StandardCharsets.UTF_8);
でJSON文字列化することです。
JWT発行時間検査の為の時刻を生成するのに、com.auth0.jwt は、java.util.Date で
withIssuedAt , withNotBefore , withExpiresAt で生成しなくてはならず、
java.time.LocalDateTime を使用するのスタンダードな今の時代ではちょっと使いにくいです。
次のJWTトークンの読込み＆検証でも使用する以下のユーティリティを用意しておくと便利です。
import java.text.ParseException;
import java.text.SimpleDateFormat;
import java.time.Instant;
import java.time.LocalDateTime;
import java.time.ZoneId;
import java.time.ZonedDateTime;
import java.util.Locale;
import com.auth0.jwt.exceptions.TokenExpiredException;
public final class JwtUtil {
private JwtUtil() {}
public static LocalDateTime getExpiredDate(TokenExpiredException x){
try{
java.util.Date dt = new SimpleDateFormat("EEE MMM d HH:mm:ss Z yyyy.", Locale.ENGLISH)
.parse(x.getMessage().replaceFirst("The Token has expired on ", ""));
return Instant.ofEpochMilli(dt.getTime()).atZone(ZoneId.systemDefault()).toLocalDateTime();
}catch(ParseException e){
throw new RuntimeException(e);
}
}
public static long getExpireOverTime(TokenExpiredException x) {
try{
long epocmili = Instant.now().toEpochMilli();
java.util.Date dt = new SimpleDateFormat("EEE MMM d HH:mm:ss Z yyyy.", Locale.ENGLISH)
.parse(x.getMessage().replaceFirst("The Token has expired on ", ""));
return epocmili - dt.getTime();
}catch(ParseException e){
throw new RuntimeException(e);
}
}
public static java.util.Date toDate(LocalDateTime at){
return java.util.Date.from(ZonedDateTime.of(at, ZoneId.systemDefault()).toInstant());
}
public static LocalDateTime toLocalDateTime(java.util.Date date) {
return LocalDateTime.ofInstant(date.toInstant(), ZoneId.systemDefault());
}
}
JWTトークンの読込み＆検証
受信したトークン（Base64エンコード済）は、
JWT.require(アルゴリズム).build()
で生成した JWTVerifier で、verify(token)実行することで、署名検証＆デコードまでするのですが、
以下のように、ラムダ実行できるものを用意すると便利なはずです。
import java.text.ParseException;
import java.text.SimpleDateFormat;
import java.time.Instant;
import java.time.LocalDateTime;
import java.time.ZoneId;
import java.util.Locale;
import java.util.function.Consumer;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
public final class JWTVerifyAction{
private Algorithm algorithm;
private JWTVerifyAction(Algorithm algorithm){
this.algorithm = algorithm;
}
public static JWTVerifyAction of(Algorithm algorithm){
return new JWTVerifyAction(algorithm);
}
public boolean verifyRead(String token, Consumer<DecodedJWT> decoded, Consumer<Throwable> error){
JWTVerifier verifier = JWT.require(algorithm).build();
try{
DecodedJWT jwt = verifier.verify(token);
decoded.accept(jwt);
return true;
}catch(Throwable e){
error.accept(e);
}
return false;
}
public LocalDateTime getExpiredDate(TokenExpiredException x){
try{
java.util.Date dt = new SimpleDateFormat("EEE MMM d HH:mm:ss Z yyyy.", Locale.ENGLISH)
.parse(x.getMessage().replaceFirst("The Token has expired on ", ""));
return Instant.ofEpochMilli(dt.getTime()).atZone(ZoneId.systemDefault()).toLocalDateTime();
}catch(ParseException e){
throw new RuntimeException(e);
}
}
public long getExpireOverTime(TokenExpiredException x) {
try{
long epocmili = Instant.now().toEpochMilli();
java.util.Date dt = new SimpleDateFormat("EEE MMM d HH:mm:ss Z yyyy.", Locale.ENGLISH)
.parse(x.getMessage().replaceFirst("The Token has expired on ", ""));
return epocmili - dt.getTime();
}catch(ParseException e){
throw new RuntimeException(e);
}
}
}
検証で発生する例外Exception は、
| SignatureVerificationException |
secretKeyや署名にエラーがある場合 |
| AlgorithmMismatchException |
使用 Algorithm が不一致 |
| JWTDecodeException |
token 改竄エラー |
| TokenExpiredException |
有効期限切れエラー |
| InvalidClaimException |
トークン使用する前にトークン生成時刻になっているエラー |
になります。
使用例
Algorithm algorithm = Algorithm.HMAC256("123abc");
JWTVerifyAction action = JWTVerifyAction.of(algorithm);
action.verifyRead(token,
d->{
System.out.println("aud = "+ d.getAudience() );
System.out.println("iss = "+ d.getIssuer() );
System.out.println("sub = "+ d.getSubject() );
System.out.println("expired = "+ d.getExpiresAt() );
System.out.println("expired = "+ JwtUtil.toLocalDateTime(d.getExpiresAt()) );
System.out.println("nbf = "+ d.getNotBefore() );
System.out.println("nbf = "+ JwtUtil.toLocalDateTime(d.getNotBefore()) );
System.out.println("iat = "+ d.getIssuedAt() );
System.out.println("iat = "+ JwtUtil.toLocalDateTime(d.getIssuedAt()) );
System.out.println("X-EMAI = "+ d.getClaim("X-EMAIL").asString() );
System.out.println("X-SIZE = "+ d.getClaim("X-SIZE").asInt() );
System.out.println("jti = "+ d.getId() );
System.out.println("Algorithm = "+ d.getAlgorithm() );
System.out.println("header typ = "+ d.getType() );
System.out.println("header kid = "+ d.getKeyId() );
System.out.println("headerClaim ha = "+ d.getHeaderClaim("ha").asString() );
System.out.println("headerClaim point = "+ d.getHeaderClaim("point").asInt() );
System.out.println("signature = "+ d.getSignature() );
System.out.println("payload = "+ d.getPayload() );
System.out.println("header = "+ d.getHeader() );
String payloadJson = new String(Base64.getUrlDecoder().decode(d.getPayload().getBytes()), StandardCharsets.UTF_8);
System.out.println(payloadJson);
String headerJson = new String(Base64.getUrlDecoder().decode(d.getHeader().getBytes()), StandardCharsets.UTF_8);
System.out.println(headerJson);
},
e->{
if (e instanceof TokenExpiredException){
LocalDateTime expAt = JwtUtil.getExpiredDate((TokenExpiredException) e);
System.out.print("TokenExpiredException !! expAt = "+expAt);
long overtime = JwtUtil.getExpireOverTime((TokenExpiredException) e);
System.out.println(" over : " + overtime + " msec");
}else if(e instanceof SignatureVerificationException){
System.out.print("SignatureVerificationException !! secretKey or 署名にエラー ");
}else if(e instanceof AlgorithmMismatchException){
System.out.print("AlgorithmMismatchException !! アルゴリズムが一致しない ");
}else if(e instanceof JWTDecodeException){
System.out.print("JWTDecodeException !! トークンが改竄 ");
}else if(e instanceof InvalidClaimException){
System.out.print("InvalidClaimException !! nbf > iat のトークン使用する前にトークン生成時刻になっているエラー");
}else{
System.out.println("その他のエラー：" + e.getMessage());
}
TODO
}
);
com.auth0.jwt は、JSON を処理するのに、Jackson を使用しています。
使用する依存ライブラリは気をつけたほうが良いでしょう。